Suricata http2: onbeperkt bronnenverbruik

CVE-2026-31935 in Suricata, een netwerk IDS, IPS en NSM engine, stelt een aanvaller in staat om een geheugenuitputting te veroorzaken. Dit wordt bereikt door het systeem te overspoelen met kwaadaardige HTTP/2 continuation frames. Als een aanvaller het netwerkverkeer dat door Suricata loopt kan controleren, kan hij deze kwetsbaarheid uitbuiten om het systeem te overbelasten, wat mogelijk kan leiden tot een denial-of-service (DoS) aanval. De impact is aanzienlijk, aangezien Suricata een cruciaal beveiligingstool is en een storing ervan de beveiliging van de gehele infrastructuur kan compromitteren. De CVSS-severity score is 7.5, wat een hoog risico aangeeft. Deze kwetsbaarheid treft versies vóór 7.0.15 en 8.0.4.

Organizations relying on Suricata for network intrusion detection and prevention are at risk, particularly those running vulnerable versions (≤ 8.0.0, < 8.0.4). Environments with high HTTP2 traffic volume are more susceptible to exploitation. Those using Suricata in virtualized environments or containerized deployments should pay close attention to resource limits and monitoring.

• linux / server:

journalctl -u suricata -f | grep -i 'memory allocation error'

• linux / server:

ps aux | grep suricata | awk '{print $4, $6}' | sort -n | tail -n 1

• generic web: Monitor Suricata logs for unusual HTTP2 traffic patterns or errors related to frame processing.

1. 2026-04-02Disclosure

   disclosure

1. Gereserveerd2026-03-10
2. Gepubliceerd2026-04-02
3. EPSS bijgewerkt2026-04-10

De oplossing voor CVE-2026-31935 is het upgraden van Suricata naar versie 7.0.15 of hoger, of naar versie 8.0.4 of hoger. Deze versies bevatten een fix die het geheugenuitputtingsprobleem verzacht. Het wordt aanbevolen om deze update zo snel mogelijk toe te passen om systemen te beschermen tegen potentiële aanvallen. Bovendien kan het monitoren van het geheugengebruik van het Suricata-proces helpen om potentiële aanvallen in uitvoering te detecteren. Het implementeren van firewallregels om verdacht HTTP/2-verkeer te beperken, kan ook een extra preventieve maatregel zijn. De update is de meest effectieve en aanbevolen oplossing.